会话技术--jwt

Jwt

会话技术

①cookie
缺点：app端无法使用，存储在客户浏览器中不安全。
②session
缺点：服务器集群的状态下无法直接使用session。
③jwt（存在于客户端。可存在于集群中）

Jwt实现

执行流程：
浏览器发出请求，登录成功后，生成jwt，判断身份是否合法。响应数据时，将jwt发给前端。
在后续的每一次请求中，都需要将令牌携带到服务端。如果令牌有效就证明已经登录，失效未登录。
同一次会话的多次请求，共享数据时，将共享的数据存储在令牌中就可以了。

jwt包含的三部分：
三部分：header（加密算法）、载荷（用户信息、过期时间）、签名（防止篡改）

jwt的使用：
①导入依赖

<!--JWT令牌-->
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>

②导入JwtUtils工具类

public class JwtUtils {

    private static String signKey = "xxx";
    private static Long expire = 43200000L;

    /**
     * 生成JWT令牌
     * @param claims JWT第二部分负载 payload 中存储的内容
     * @return
     */
    public static String generateJwt(Map<String, Object> claims){
        String jwt = Jwts.builder()
                .addClaims(claims)
                .signWith(SignatureAlgorithm.HS256, signKey)
                .setExpiration(new Date(System.currentTimeMillis() + expire))
                .compact();
        return jwt;
    }

    /**
     * 解析JWT令牌
     * @param jwt JWT令牌
     * @return JWT第二部分负载 payload 中存储的内容
     */
    public static Claims parseJWT(String jwt){
        Claims claims = Jwts.parser()
                .setSigningKey(signKey)
                .parseClaimsJws(jwt)
                .getBody();
        return claims;
    }
}

③生成jwt
判断是否登录成功，如果登录成功则生成jwt

@PostMapping("/login")
public Result login(@RequestBody Emp emp){
    Emp e = empService.login(emp);
    //登录成功 发送令牌
    if (e != null){
        Map<String, Object> claims = new HashMap<>();//创建载荷
        claims.put("id", e.getId());
        claims.put("name", e.getName());
        claims.put("username", e.getUsername());

        String jwt = JwtUtils.generateJwt(claims); //jwt令牌包含了当前登录的员工信息
        return Result.success(jwt);
    }
    //用户为空, 返回错误信息
    return Result.error("用户名或密码错误");
}

④定义拦截器

@WebFilter(urlPatterns = "/*")
public class DemoFilter implements Filter{
    @Override //初始化方法, 只调用一次
    public void init(FilterConfig filterConfig) throws ServletException {
        System.out.println("init 初始化方法执行了");
    }

    @Override //拦截到请求之后调用, 调用多次
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        System.out.println("Demo 拦截到了请求...放行前逻辑");
        //放行
        chain.doFilter(request,response);

        System.out.println("Demo 拦截到了请求...放行后逻辑");
    }

    @Override //销毁方法, 只调用一次
    public void destroy() {
        System.out.println("destroy 销毁方法执行了");
    }
}

因为拦截器是servlet技术，需要在启动类中添加注解

@ServletComponentScan //开启了对servlet组件的支持

⑤filter登录校验

@Slf4j
@WebFilter(urlPatterns = "/*")
public class LoginCheckFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse resp = (HttpServletResponse) response;

        //1.获取请求url。
        String url = req.getRequestURL().toString();
        log.info("请求的url: {}",url);

        //2.判断请求url中是否包含login，如果包含，说明是登录操作，放行。
        if(url.contains("login")){
            log.info("登录操作, 放行...");
            chain.doFilter(request,response);
            return;
        }

        //3.获取请求头中的令牌（token）。
        String jwt = req.getHeader("token");

        //4.判断令牌是否存在，如果不存在，返回错误结果（未登录）。
        if(!StringUtils.hasLength(jwt)){
            log.info("请求头token为空,返回未登录的信息");
            Result error = Result.error("NOT_LOGIN");//创建返回的result对象
            //手动转换 对象--json --------> 阿里巴巴fastJSON
            String notLogin = JSONObject.toJSONString(error);
            resp.setContentType("application/json;charset=utf-8");
            resp.getWriter().write(notLogin);
            return;
        }

        //5.解析token，如果解析失败，返回错误结果（未登录）。
        try {
            JwtUtils.parseJWT(jwt);
        } catch (Exception e) {//jwt解析失败
            e.printStackTrace();
            log.info("解析令牌失败, 返回未登录错误信息");
            Result error = Result.error("NOT_LOGIN");
            //手动转换 对象--json --------> 阿里巴巴fastJSON
            String notLogin = JSONObject.toJSONString(error);
            resp.getWriter().write(notLogin);
            return;
        }

        //6.放行。
        log.info("令牌合法, 放行");
        chain.doFilter(request, response);